Android.RemoteCode.4555

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.127.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) api.map.b####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) 1####.217.17.46:443
TCP(TLS/1.0) api.s####.com:443
TCP(TLS/1.0) o####.map.b####.com:443
TCP(TLS/1.0) api.won####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) gd-s####.j####.cn:443
TCP(TLS/1.0) t####.j####.cn:443
TCP 1####.202.138.24:7011
UDP s.j####.cn:19000

Запросы DNS:

a####.exc.mob.com
aexcep####.b####.qq.com
ali-s####.j####.cn
and####.b####.qq.com
api.map.b####.com
api.s####.com
api.won####.com
gd-s####.j####.cn
img.won####.com
loc.map.b####.com
mt####.go####.com
o####.map.b####.com
plb####.u####.com
s.j####.cn
t####.j####.cn
u####.u####.com

Запросы HTTP GET:

api.map.b####.com/sdkproxy/v2/lbs_androidsdk/place/v2/search?query=####&...
ti####.c####.l####.####.com/userfiles/image/20180627/271838337126097b7b5...
ti####.c####.l####.####.com/userfiles/image/20180628/281711435e0ff815bb5...
ti####.c####.l####.####.com/userfiles/image/20180709/091518114ac0188cfc7...
ti####.c####.l####.####.com/userfiles/image/20180709/091803228ea6b5528d2...
ti####.c####.l####.####.com/userfiles/image/20180709/0918062594c92ba8495...
ti####.c####.l####.####.com/userfiles/image/20180804/04114702b48dab7ef67...
ti####.c####.l####.####.com/userfiles/image/20180804/0415170446fb01b7b25...
ti####.c####.l####.####.com/userfiles/image/20180930/30113133a66e28e2e15...
ti####.c####.l####.####.com/userfiles/image/20181030/301654562797fc7f985...
ti####.c####.l####.####.com/userfiles/image/20181030/30165506725a7c09391...
ti####.c####.l####.####.com/userfiles/image/20181030/30165614a1aafdd7e69...
ti####.c####.l####.####.com/userfiles/image/20181112/12143906797351d6ab2...
ti####.c####.l####.####.com/userfiles/image/20181122/221430568a15d1b7126...
ti####.c####.l####.####.com/userfiles/image/20181128/28141204853dbb75eb2...
ti####.c####.l####.####.com/userfiles/image/20181203/0313485626e3d572494...
ti####.c####.l####.####.com/userfiles/image/20181218/1816545941459c21684...
ti####.c####.l####.####.com/userfiles/image/20190214/14102145e766906f552...
ti####.c####.l####.####.com/userfiles/image/20190214/14102902c719c212453...
ti####.c####.l####.####.com/userfiles/image/20190214/14105611992dfba00e9...
ti####.c####.l####.####.com/userfiles/image/20190214/14105742995edac4a15...
ti####.c####.l####.####.com/userfiles/image/20190215/15135149ae065f21980...
ti####.c####.l####.####.com/userfiles/image/20190215/15135542d41fd0e0146...
ti####.c####.l####.####.com/userfiles/image/20190215/15143221a0385996a53...
ti####.c####.l####.####.com/userfiles/image/20190221/211013426f8d9f48a59...
ti####.c####.l####.####.com/userfiles/image/20190221/2110134998a36969241...
ti####.c####.l####.####.com/userfiles/image/20190221/21102621fa68f88b700...
ti####.c####.l####.####.com/userfiles/image/20190221/211026294b6fc424703...
ti####.c####.l####.####.com/userfiles/image/20190312/121335106c0c0970dc2...
ti####.c####.l####.####.com/userfiles/image/20190313/1310092453eb20597f6...
ti####.c####.l####.####.com/userfiles/image/20190425/25164410bfa72fc45c5...
ti####.c####.l####.####.com/userfiles/image/20190426/26160458bfacc575bc6...
ti####.c####.l####.####.com/userfiles/image/20190426/2616064101395f05098...
ti####.c####.l####.####.com/userfiles/image/20190426/261607496692c7bfb21...
ti####.c####.l####.####.com/userfiles/images/simck5kvckk.jpg-m.houses.list

Запросы HTTP POST:

a####.exc.mob.com/errconf
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1106445582
/data/data/####/-1115058732
/data/data/####/-1421164408
/data/data/####/-1821612606
/data/data/####/-569690973
/data/data/####/-889919583
/data/data/####/-890492684
/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/009b387aaf25668521929e6111536d47e44da705c7de75e....0.tmp
/data/data/####/092413a9d4305a3f33cf8fab07d951bd5b6926e122e54d2....0.tmp
/data/data/####/1004
/data/data/####/109526449
/data/data/####/1112798511
/data/data/####/147e97dd9ae42d6653b969783c3c5f7ce07020420b51a62....0.tmp
/data/data/####/1874a0bd31051330925c46f76a41b551a4cd6c1c790382e....0.tmp
/data/data/####/1990137437
/data/data/####/1f306046-5c35-409a-a416-cd1451eb0ce9
/data/data/####/238bb7d8b77fcc1c3cc0996760f95563f72c9c37130f241....0.tmp
/data/data/####/24fff7fb31f3de894209b657d5e702f1e9e665285fd3c6e....0.tmp
/data/data/####/270d2bbc282ed20110ccb575768949953f0e15e087a5849....0.tmp
/data/data/####/28886c4b29d463df80c7795be2692c85453681b5c70becf....0.tmp
/data/data/####/299d53f7bdb97bbc963b0e1ff2f3a9319f53780a007b864....0.tmp
/data/data/####/2ac599ac-1b9f-4be8-a0ca-8bb1f2af3a25
/data/data/####/2dada1c500864b21b81c39a58aab1d003e453f3807e81af....0.tmp
/data/data/####/2dba60df90f7f9efe135c00f4ed502db9465da4c4794d56....0.tmp
/data/data/####/345e50466f26c2b595ecd519b50dbafbc1ac6d9ced00e3e....0.tmp
/data/data/####/36bf03e8d1b04a79b6071e9658cbf074258ca02a24909c7....0.tmp
/data/data/####/376e194b027c0a478f5991c11985fb773ca24b758838d65....0.tmp
/data/data/####/3b327ea81db7abd7560bfc0e75d5d44134fbc755df69234....0.tmp
/data/data/####/3c90326f06cf36b7b14d282f7280789deda00cbc04a1896....0.tmp
/data/data/####/3dadfb8fe347dd0ce37fe176aaf120e9c491203997d5db0....0.tmp
/data/data/####/430f460a9e5d9616045d9fff0e1c17d6aff9d153578b5f7....0.tmp
/data/data/####/4348069fbf5af443e00190a4fc26fe111f7782f6a1c68c6....0.tmp
/data/data/####/44743d1da167e7b612add5ac736b9307e6ae4a42719e919....0.tmp
/data/data/####/4a901f765f2fa6127596cb46b4364eb3b8ea85255c7d9af....0.tmp
/data/data/####/4ceca2757941efd3779c466877551d0e40ac4a1bad2be40....0.tmp
/data/data/####/4fe85d20c7b03ad22ce04cb97f31fb8e2aca48c3bb3690b....0.tmp
/data/data/####/50a3029effc0a73d7a5958463e2a49fce1fa520a1ce87d3....0.tmp
/data/data/####/5229bb075eb9a407b568d5b1ba8d26319c50446e00c1770....0.tmp
/data/data/####/52faa38e71534b7de3cfce23bbfd3af4d76a493a67908e6....0.tmp
/data/data/####/57299bac387f0943bfbb02e52cc1503e589258024b45a57....0.tmp
/data/data/####/57f6c75e5c64a5b133aadb36c2bf905643119b35716eb79....0.tmp
/data/data/####/59f6b2a93fe73f5477b11d9c8732722522431d7b2e60b7c....0.tmp
/data/data/####/5b785a2f57894fbdbf30012f15a0350229266f9ded4ce0e....0.tmp
/data/data/####/628b393a41293cf0f073e68f66f3fd2b8e21aa62cc85cb3....0.tmp
/data/data/####/63c6f3312ed013c86c034020cfe845464b5a5fd4ad999c7....0.tmp
/data/data/####/656bbf4a-32d7-489a-bb6c-6857c25f337d
/data/data/####/658bdad1fbf43489da13a22cf5609adf26db80d58bf9371....0.tmp
/data/data/####/661ea8348ed7018dd6b222b182fd9814c05406b4f4c3485....0.tmp
/data/data/####/669066272
/data/data/####/66eb4ae6e6b415f15cf954714512fcad3b02e59ed37156f....0.tmp
/data/data/####/6989e2cc5806781ccd42096f6ed27a001769770c2069e60....0.tmp
/data/data/####/6d6e3da1e3770dd7a41f34930e40881b429464dd3dbc2a2....0.tmp
/data/data/####/72b4d585440b48814cea5c743a9bd1f58c0156e90be860e....0.tmp
/data/data/####/7514990d83ea82a1d75375a7139b34570ee75854901c5a0....0.tmp
/data/data/####/8a83fef0-abdb-4e31-93d7-88e2ee43411b
/data/data/####/8be55b5e8962ecb36fd7e137196d0937dca60fdda917b55....0.tmp
/data/data/####/905248af806afd8bcf21627e218a1a1091050088799da5f....0.tmp
/data/data/####/90f1be389c2ff0c2669a7678f7a32e2b6389abb5df3c8b8....0.tmp
/data/data/####/93eebbfe31e4c96b8a09396a05cd670585e6c8cb1b6c532....0.tmp
/data/data/####/9712b7b83e2818eac66e5d1a1256d881aed4ad1ac317430....0.tmp
/data/data/####/97e8391d809bbcbf9181d5ba011c7ceb77fb128e1ce0997....0.tmp
/data/data/####/9a53adfc3e7de91ed1417c78fc134d7059c4fcd723fdd02....0.tmp
/data/data/####/9b5c8eaf2f86d8ffe4e06fbb3e01df968b8354f562becd2....0.tmp
/data/data/####/CustomIndex
/data/data/####/DVDirectory.cfg
/data/data/####/DVHotMap.cfg
/data/data/####/DVHotcity.cfg
/data/data/####/DVIndoor.cfg
/data/data/####/DVSDirectory.cfg
/data/data/####/DVVersion.cfg
/data/data/####/JPushSA_Config.xml
/data/data/####/ResPackIndoorMap.rs
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/a565fdac-48cd-486a-9667-5641830a8a02
/data/data/####/adf4148de6832a813abba67ffd6bc8738ca7295dd3f0849....0.tmp
/data/data/####/af22166f05ec8d0ee425d6675e93285e3e3c4468f5492f5....0.tmp
/data/data/####/afdd29856b245da740b0d82d85e8b4dc34c6c2d4f9cf87c....0.tmp
/data/data/####/appPackageNames_v2
/data/data/####/authStatus_com.mgmt.woniuge.xml
/data/data/####/authStatus_com.mgmt.woniuge;pushcore.xml
/data/data/####/authStatus_com.mgmt.woniuge;remote.xml
/data/data/####/b15579796b42766e3977cf23b9f35c10fe836fa53f95ef7....0.tmp
/data/data/####/b9f9e51eb49674bd094180b72b556510943b004a1417b85....0.tmp
/data/data/####/baseindoormap.sty
/data/data/####/bcb411709e98d6c0887ce24d26568440349c9cf22b68464....0.tmp
/data/data/####/be3273075344d9335158735cd5602d54a387d3555e37114....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/c0c9aaf5dbaa2a26c53797c96aab262e7e98b166efc7ea4....0.tmp
/data/data/####/c9773689bef73e10e6a2be9549418813ce46dd44cfac059....0.tmp
/data/data/####/c9ff7b19496c5ec362350711506ef253d790ff3d0baf3fa....0.tmp
/data/data/####/cbbb8a3c2ce9c5a582f2e10f9a2b415c5d08735597b092b....0.tmp
/data/data/####/ccbc231047231b23dbf42abad9f61ca80ff9036f73044a9....0.tmp
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/crashrecord.xml
/data/data/####/d13bc12d-9663-467d-947e-79965b284b90
/data/data/####/d690537e3165b79233097770271c394f8c42a322038482b....0.tmp
/data/data/####/d6e605860772ff71a598949c03827f9c9b3396c35dff03b....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU2NDIxMjY3MTE1;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/domain_1
/data/data/####/e120db54e0423adbe9ac414227fbd422cd822b7f21490b9....0.tmp
/data/data/####/e1c98c1c45fbf881e05000a8de7ce4caf47487e7ab4c7f1....0.tmp
/data/data/####/e7a68d7309b054cbdfd9bb1c4329ab9b4ff9d6d6eb676e2....0.tmp
/data/data/####/edd01fc9350ef528dd6b82e96de713cd099ccdd1afffdd2....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f123c25fd4a50b561a43969274a8bb6f1c905047cc623b3....0.tmp
/data/data/####/f66f3e41fd2cbe55c3bb948db84b94b6e7f98bed9ea92fb....0.tmp
/data/data/####/fb0db7b53372a0152cf06c0a80d09a78b0c1793253209dc....0.tmp
/data/data/####/fb76be5934ed5939fa0ca5150b57af2963282fe46a7c649....0.tmp
/data/data/####/fc424ad5e168a05b64f91a9a71be59cf185c4dff728b74c....0.tmp
/data/data/####/fd7a6181ee5633fb42682424b115b54be4d0ab7952be105....0.tmp
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/i==1.2.0&&1.0.10_1556421267108_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-3.0.0.0.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/map.rs
/data/data/####/map.sty
/data/data/####/map_pref.xml
/data/data/####/mix.dex
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/native_record_lock
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/pushcore_umeng_common_config.xml
/data/data/####/reduct.rs
/data/data/####/reduct.sty
/data/data/####/remote_umeng_common_config.xml
/data/data/####/security_info
/data/data/####/sobot_chat_20190428_log.txt
/data/data/####/sobot_config.xml
/data/data/####/t==8.0.2&&1.0.10_1556421268793_envelope.log
/data/data/####/traffic.rs
/data/data/####/traffic.sty
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/ver.dat
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wng_sp.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.artc_lock
/data/media/####/.cca.dat
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.du_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.gm_lock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.push_deviceid
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.umm.dat
/data/media/####/.wkl
/data/media/####/DTTempdat.dat
/data/media/####/DTTempdat.idx
/data/media/####/DVUserdat.cfg
/data/media/####/conlts.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/test.0
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
cat /sys/class/net/wlan0/address
chmod 700 /data/user/0/<Package>/tx_shell/libnfix.so
chmod 700 /data/user/0/<Package>/tx_shell/libshella-3.0.0.0.so
chmod 700 /data/user/0/<Package>/tx_shell/libufix.so
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-3.0.0.0.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

BaiduMapSDK_base_v5_2_1
BaiduMapSDK_map_v5_2_1
Bugly
jcore125
libnfix
libshella-3.0.0.0
libufix
locSDK7b
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней